Günümüz siber güvenlik ekosisteminde fidye yazılımı (ransomware) operasyonları giderek daha karmaşık bir nitelik kazanırken, ulus devlet destekli siber casusluk grupları ile finansal motivasyonlu siber suç ağları arasındaki geleneksel sınırların da belirsizleştiği görülmektedir. Bu kapsamda, Güney Kore ve Amerika Birleşik Devletleri makamları tarafından küresel ölçekte kritik altyapıları ve çeşitli sektörlerdeki kuruluşları hedef aldığı duyurulan Gunra fidye yazılımı, tehdit istihbaratı açısından dikkat çeken bir vaka teşkil etmektedir. Bu haberde, Gunra’nın saldırı vektörleri, taktikleri, teknikleri ve prosedürleri (TTP’ler) ele alınarak mevcut araştırmalardaki bulgular aktarılmaktadır.
İlk Erişim Vektörleri ve Güvenlik Açıklarının Sömürülmesi
Gunra operasyonlarında, temel erişim aşamasında özellikle internete doğrudan açık Fortinet FortiOS ve FortiProxy sistemlerindeki CVE-2024-55591 ve CVE-2025-24472 numaralı kimlik doğrulama atlatma açıklarından yararlanıldığı görülmektedir. Ortak güvenlik danışmanlığına göre saldırganlar, savunmasız Fortinet cihazlarında yetkili hesaplar oluşturarak erişimi sürdürebilmekte; ayrıca internete açık VPN ağ geçitlerinde açığa çıkmış kimlik bilgileri ve zayıf SSH erişim kontrollerinden de yararlanabilmektedir.
Gözlemlenen bazı saldırılarda saldırganlar, SSL-VPN cihazlarının ağ trafiği kontrol işlevlerini kullanarak kurumsal VDI (Sanal Masaüstü Altyapısı) kimlik doğrulama portalına giriş yapan kullanıcıların kimlik bilgilerini ve oturum bilgilerini ele geçirdi. Ele geçirilen oturum çerezleri daha sonra oturum ele geçirme (session hijacking) amacıyla kullanıldı. Bir vakada saldırganların VDI kimlik doğrulama portalındaki kimlik doğrulama işleme dosyalarını değiştirerek belirli bir OTP değerinin kabul edilmesini sağladığı ve böylece MFA mekanizmasını kalıcı biçimde atlattığı tespit edildi.
Çift Şantaj Modeli ve Kriptografik Zafiyetler
Nisan 2025’ten bu yana faaliyet gösterdiği gözlemlenen Gunra, veri sızıntısı ve şifrelemeyi bir arada kullanan çift şantaj (double extortion) modelini benimsemektedir. Ortak güvenlik danışmanlığına göre, fidye ödemeyi reddeden mağdurların verileri yaklaşık beş ila yedi günlük bir müzakere sürecinin ardından sızıntı sitesinde yayımlanabilmektedir.
Teknik incelemelerde grubun Windows ve Linux sistemlerini hedefleyen farklı şifreleyiciler geliştirdiği tespit edilmiştir. Gunra’nın Linux sürümünde ChaCha20 kullanılırken, Windows sürümünün farklı bir şifreleme uygulamasına sahip olduğu görülmektedir. AhnLab’ın analizine göre Linux sürümünde time() tabanlı rand() kullanımı nedeniyle şifreleme anahtarları ve nonce değerleri öngörülebilir hâle gelmekte ve belirli koşullarda dosyaların şifresinin çözülmesi mümkün olabilmektedir. Bu bulgu AhnLab tarafından Ekim 2025’te yayımlanmıştır.
Yatay Hareket ve İz Gizleme Taktikleri
Ağ içi yayılım (lateral movement) aşamasında saldırganların Impacket kütüphanesine ait psexec.py ve smbclient.py araçlarını SMB protokolü üzerinden kullandığı görülmektedir. Alan denetleyicilerine yönelik kimlik bilgisi dökümü (credential dumping) faaliyetlerinde ise secretsdump.py kullanılarak NTDS dosyalarından parola hash’lerinin elde edildiği ve bu bilgilerin yetkisiz erişim için kullanıldığı tespit edilmiştir.
Faaliyetlerin tespitini güçleştirmek amacıyla saldırganlar, çoğunlukla yerel saatle 22.00 ile 06.00 arasında keşif ve diğer operasyonel faaliyetleri yürütmekte; sistem ve ağ günlükleri ile komut geçmişlerini temizlemektedir. Veri sızdırma sürecinde Microsoft OneDrive ve SharePoint gibi kurumsal bulut servislerinin yanı sıra MEGA gibi dosya paylaşım servislerinin de kullanıldığı gözlemlenmiştir. Bazı vakalarda büyük miktardaki verilerin arşivlendiği ve ardından dışarı aktarıldığı tespit edilmiştir.
Ulus Devlet Aktörleriyle Olan Etkileşimler
Gunra vakasındaki en dikkat çekici araştırma başlıklarından biri, grubun devlet destekli bir tehdit aktörüyle gösterdiği teknik örtüşmelerdir. AhnLab’ın Operation Double Barrel araştırmasında, 2025 ve 2026 yıllarında faaliyet gösteren devlet destekli bir tehdit aktörü ile Gunra saldırıları arasında bazı finansal güvenlik yazılımlarındaki açıkların kullanılması, zararlı yazılımlar, SSH anahtar parmak izleri ve ağ altyapısı gibi unsurlarda ortaklıklar tespit edildi.
Araştırmacılar bu bulguların iki aktörün bazı teknikleri, araçları veya altyapıları paylaşmış olabileceğine ya da sınırlı bir iş birliği gerçekleştirmiş olabileceğine işaret ettiğini belirtiyor. Ancak AhnLab, mevcut kanıtların iki saldırının aynı tehdit aktörü tarafından gerçekleştirildiğini kesin olarak ortaya koymadığının da altını çiziyor. Dolayısıyla Gunra’nın doğrudan Lazarus Grubu, Andariel veya Moonstone Sleet tarafından kontrol edildiği yönünde kesin bir çıkarım yapmak mevcut kanıtların ötesine geçmektedir.
Bu durum, finansal motivasyonlu fidye yazılımı operasyonları ile devlet destekli siber faaliyetler arasındaki sınırların bazı vakalarda teknik ve operasyonel açıdan kesişebildiğini gösteriyor. Ancak söz konusu kesişim, tek başına ortak bir komuta yapısının veya aynı tehdit aktörünün varlığını kanıtlamıyor.
Sonuç ve Savunma Stratejileri
Sonuç olarak Gunra fidye yazılımı; internete açık sistemlerin istismarı, kimlik bilgisi hırsızlığı, oturum ele geçirme, MFA atlatma, yatay hareket ve veri sızdırma gibi farklı teknikleri bir arada kullanan katmanlı bir saldırı modeli izlemektedir. 2026 yılında yapılandırılmış bir RaaS modeline geçiş yapan operasyon, farklı erişim ve saldırı tekniklerinin bir arada kullanılabildiği daha ölçeklenebilir bir yapıya dönüşmüştür.
Kritik altyapı kuruluşlarının bu tür tehditlere karşı dirençli hâle gelebilmesi için;
- İnternete açık ağ cihazlarının işletim sistemi, yazılım ve firmware güncellemelerinin ivedilikle yapılması,
- Özellikle bilinen ve aktif olarak istismar edilen Fortinet açıklarının giderilmesi,
- Ağ segmentasyonu politikalarının sıkılaştırılması,
- Çok faktörlü kimlik doğrulama altyapılarının ve kimlik doğrulama sunucularının bütünlüğünün düzenli olarak denetlenmesi,
- Yedekleme verilerinin değiştirilemez (immutable) ve fiziksel olarak ayrı ortamlarda muhafaza edilmesi,
- Ağ ve uç nokta günlüklerinin saldırganlar tarafından silinmesine karşı merkezi ve korumalı loglama altyapılarının kullanılması
kritik önem taşımaktadır.